Backup empresarial: regra 3-2-1, backup imutável, RPO, RTO e Microsoft 365

Backup empresarial não é ter uma cópia dos arquivos em algum lugar. É conseguir voltar a trabalhar, com os dados certos, no tempo que o negócio aguenta. Quase toda empresa diz que tem backup. Bem menos empresas já testaram se ele volta.

Resumo rápido

• Siga a regra 3-2-1: três cópias, em dois tipos de armazenamento, com uma fora da empresa.
• Pelo menos uma cópia precisa ser imutável ou desconectada, porque o ransomware procura e apaga backups.
• Backup sem teste de restauração registrado é uma aposta, não uma proteção.
• Defina RPO e RTO com a diretoria: quanto de dado a empresa aceita perder e quanto tempo pode ficar parada.
• Microsoft 365 também precisa de backup. Lixeira e retenção nativas têm prazo.

Por que “salvar arquivos” não basta

Os dados de uma empresa se perdem por motivos comuns: disco que queima, funcionário que apaga a pasta errada, sistema que corrompe o banco de dados, notebook roubado e ransomware, o ataque que criptografa os arquivos e cobra resgate.

Uma pasta copiada manualmente para um HD, de vez em quando, não resolve nenhum desses cenários com segurança. A cópia pode estar velha, incompleta, ligada à mesma rede do servidor atacado ou simplesmente não funcionar na hora de restaurar.

Há também uma questão legal. O art. 46 da LGPD exige que as empresas adotem medidas técnicas e administrativas para proteger os dados pessoais de situações de “destruição, perda, alteração”. Backup bem feito é uma dessas medidas.

A regra 3-2-1, explicada sem jargão

A regra 3-2-1 é recomendada pela CISA, a agência de cibersegurança dos Estados Unidos, no guia para pequenas e médias empresas:

• 3 cópias dos dados importantes: o original e mais duas.
• 2 tipos diferentes de armazenamento, por exemplo um equipamento local e a nuvem.
• 1 cópia fora da empresa, para sobreviver a incêndio, furto ou alagamento.

O CERT.br, na cartilha de backup, vai na mesma linha: ter pelo menos duas cópias, em locais diferentes, com cópias automáticas e criptografia sempre que possível.

Na prática, para uma PME, o desenho mais comum é: dados no servidor ou na nuvem de trabalho, uma cópia local rápida para restaurações do dia a dia e uma cópia em nuvem de backup, separada, para desastres.

Backup imutável: a cópia que o ataque não consegue apagar

Grupos de ransomware sabem que backup é o que impede a empresa de pagar o resgate. Por isso, antes de criptografar, eles procuram as cópias e tentam apagá-las. A CISA alerta exatamente para isso no guia de ransomware e recomenda manter backups offline, criptografados e testados.

Backup imutável é uma cópia que, depois de gravada, não pode ser alterada nem apagada durante o período de retenção, nem por quem tem a senha de administrador. Backup offline é uma cópia que fica desconectada da rede. As duas abordagens atendem ao mesmo objetivo: garantir que exista uma versão limpa quando tudo o mais tiver sido comprometido.

Dois cuidados complementam a proteção:

• Credenciais separadas. O acesso ao painel do backup não deve usar a mesma conta do domínio da empresa, e precisa de dupla autenticação.
• Retenção longa o bastante. Uma invasão pode ficar semanas sem ser percebida. A CISA recomenda conseguir voltar os dados pelo menos sete dias no tempo. Para a maioria das empresas, recomendamos bem mais que isso.

Teste de restauração: o único jeito de saber se funciona

A CISA recomenda testar o procedimento de backup para garantir que a equipe consiga restaurar os dados, de forma total e parcial. O CERT.br orienta acessar os backups de tempos em tempos para encontrar arquivos corrompidos ou erros de configuração antes da emergência.

Um teste útil responde a três perguntas:

1. Os dados voltam íntegros? Abrir o arquivo, subir o banco de dados, conferir a data da última cópia.
2. Quanto tempo levou? Esse número precisa caber no RTO combinado.
3. Alguém além de uma pessoa sabe fazer? Se só um técnico sabe restaurar, o risco é de pessoa, não de tecnologia.

Registre cada teste. Seguradoras de risco cibernético, auditores e clientes grandes pedem essa evidência. Em um cliente que contratava seguro cyber, comparamos o questionário da seguradora com a realidade técnica, e o teste de restauração de backup foi uma das lacunas que fechamos, junto com firewall, criptografia dos notebooks e controle dos celulares.

RPO e RTO em linguagem de dono de empresa

O NIST, instituto de padrões dos Estados Unidos, define os dois termos no guia de planejamento de contingência (SP 800-34). Traduzindo para o dia a dia:

Termo	Pergunta que responde	Exemplo
RPO (ponto de recuperação)	Quanto trabalho a empresa aceita perder?	RPO de 4 horas: no pior caso, refaz 4 horas de lançamentos.
RTO (tempo de recuperação)	Quanto tempo a empresa aguenta parada?	RTO de 8 horas: o sistema precisa voltar no mesmo dia.

RPO e RTO são decisão de negócio, não técnica. Um escritório de contabilidade em fechamento de mês tem RTO muito menor que em outras semanas. Arquivos antigos de projeto aguentam mais.

Com RPO e RTO definidos, fica claro com que frequência copiar, onde guardar e que tipo de recuperação contratar. Sem eles, o backup é configurado no chute.

Backup do Microsoft 365: o que a Microsoft oferece e o que falta

Muitas empresas acreditam que, por estar na nuvem da Microsoft, o e-mail e os arquivos já estão protegidos. Parte disso é verdade. A Microsoft cuida da disponibilidade do serviço e oferece recursos nativos, mas com prazos:

• No Exchange Online, itens excluídos ficam recuperáveis por 14 dias por padrão, com máximo configurável de 30 dias.
• No SharePoint, os itens excluídos ficam na lixeira por 93 dias.

Isso resolve o “apaguei sem querer ontem”. Não resolve um ataque que criptografa centenas de arquivos, uma conta de ex-funcionário apagada há meses ou um erro percebido tarde.

A própria documentação da Microsoft reconhece esses limites. Na página de perguntas frequentes do Microsoft 365 Backup, a empresa explica que o histórico de versões não escala para um ataque de ransomware em larga escala e que a retenção legal é feita para exportar dados, não para restauração em massa. A Microsoft também afirma que o modelo de responsabilidade compartilhada continua o mesmo: proteger o conteúdo continua sendo tarefa do cliente, agora com mais ferramentas disponíveis.

As opções são duas:

• Microsoft 365 Backup, serviço da própria Microsoft cobrado por consumo, que cobre Exchange, OneDrive e SharePoint, com pontos de restauração a cada 10 minutos nas duas semanas mais recentes e retenção configurável.
• Soluções de terceiros, inclusive as que a Microsoft integra à mesma plataforma de armazenamento de backup, e soluções que guardam a cópia fora da nuvem da Microsoft.

A escolha depende do volume de dados, da retenção necessária e de quanto a empresa quer depender de um único fornecedor. A CISA sugere considerar uma cópia em outro provedor, para o caso de todas as contas de um mesmo fornecedor serem afetadas.

O que encontramos em campo

Quando assumimos a TI de uma empresa vinda de outro fornecedor, alguns problemas aparecem com frequência: Microsoft 365 sem nenhum backup, backup que rodava todos os dias mas nunca tinha passado por um teste de restauração e senhas de administrador que ficaram com o fornecedor anterior. Os três passam despercebidos até o dia em que alguém precisa do dado.

O outro lado também existe. Em um cliente, o servidor físico falhou. Como havia backup confiável, colocamos o ambiente para rodar como máquina virtual na nuvem da Pulso, em datacenter em São Paulo, com 8 CPUs e 16 GB de RAM. De 5 a 6 usuários continuaram trabalhando por VPN enquanto o equipamento era recuperado. A empresa não parou.

Nossa recomendação

Na Pulso, recomendamos começar pelo que dá mais retorno:

1. Liste o que é crítico. Servidor de arquivos, ERP, banco de dados, e-mail, OneDrive e SharePoint.
2. Defina RPO e RTO com a diretoria, por sistema.
3. Aplique a 3-2-1 com uma cópia imutável ou offline, com credenciais separadas e dupla autenticação.
4. Inclua o Microsoft 365 no escopo, com retenção maior que a nativa.
5. Teste a restauração todo trimestre e guarde o registro.
6. Monitore todos os dias. Backup que falhou em silêncio por três semanas é mais comum do que parece.

Se a empresa usa só sincronização em nuvem, como Google Drive ou OneDrive, vale ler também por que sincronização não é backup.

Próximo passo

O backup gerenciado faz parte da segurança gerenciada da Pulso, junto com monitoramento e resposta a incidentes. Para quem precisa manter sistemas rodando fora do escritório, também oferecemos servidores em nuvem, e o Microsoft 365 pode ser configurado com backup desde o primeiro dia.

Se você não tem certeza de que conseguiria recuperar seus dados hoje, fale com a gente. No diagnóstico gratuito, verificamos o que está coberto, o que ficou de fora e quando foi o último teste real.

Fontes

• CISA: Back Up Business Data (pequenas e médias empresas)
• CISA: #StopRansomware Guide
• CERT.br: Cartilha de Segurança, fascículo Backup
• NIST: definição de Recovery Point Objective (SP 800-34 Rev. 1)
• NIST: definição de Recovery Time Objective (SP 800-34 Rev. 1)
• Microsoft Learn: visão geral do Microsoft 365 Backup
• Microsoft Learn: perguntas frequentes sobre o Microsoft 365 Backup
• Microsoft Learn: resiliência de dados do SharePoint e OneDrive
• Microsoft Learn: pasta Itens Recuperáveis no Exchange Online
• Lei nº 13.709/2018 (LGPD)

Perguntas frequentes

Com que frequência a empresa deve testar a restauração do backup?

Pelo menos uma vez por trimestre para os sistemas críticos, e sempre depois de uma mudança grande, como troca de servidor ou de sistema. O teste precisa ser registrado, com data, o que foi restaurado e quanto tempo levou.

Backup em HD externo ainda serve?

Serve como uma das cópias, desde que fique desconectado da rede depois de cada cópia. HD externo sempre ligado ao servidor costuma ser criptografado junto no ataque de ransomware.

O Microsoft 365 já não faz backup dos meus e-mails e arquivos?

Ele tem lixeira e retenção por um período limitado, o que ajuda em exclusões pontuais. Para recuperar dados antigos ou restaurar em massa depois de um ataque, é preciso uma solução de backup, como o Microsoft 365 Backup ou uma solução de terceiros.

Quanto tempo de retenção de backup é suficiente?

Depende do negócio e das obrigações legais, mas poucas semanas raramente bastam. Muitos problemas, como um arquivo corrompido ou uma invasão silenciosa, só são percebidos meses depois.

Backup em nuvem é seguro para dados pessoais de clientes?

É, desde que os dados sejam criptografados, o acesso ao painel do backup tenha dupla autenticação e o fornecedor tenha contrato que trate a LGPD. A LGPD exige medidas contra perda e destruição de dados pessoais.

Este conteúdo é informativo e não substitui orientação jurídica.

• Backup empresarial
• Backup em nuvem
• Ransomware
• Microsoft 365
• Continuidade do negócio

Ver todos os artigos